意大利数据保护局对BBVA意大利分支罚款550万欧元：App与CRM系统脱节致退出营销后仍收推送

意大利监管机构认定BBVA存在两项问题：一是对数据主体反对权处理不当，二是未对该反对请求作出答复。后者是独立于前者的一项程序性瑕疵——即使技术上暂时无法实现，控制者仍负有在法定期限内回应的义务。

除罚款外，监管机构还命令该行改进处理个人权利请求的措施。这意味着整改要求指向的是权利响应流程本身的技术可靠性，而非仅要求补发一份答复。

本案对金融机构尤其具有警示意义。银行普遍采用“前端渠道App／网银 + 后端CRM／营销中台”的双层架构，同意与偏好状态往往在多个系统中各存一份，任一同步链路断裂都会造成“用户已拒绝、系统仍在推送”的合规事故，且此类故障在缺少端到端核验时极难被主动发现。

从执法趋势看，GDPR第21条反对权与第17条删除权正在成为欧洲监管的高频切入点。结合同日法国CNIL对EXTIA因删除请求处理不当罚款30万欧元，可看出监管机构关注点正从“是否收集合规”转向“退出机制是否真正生效”。企业应定期以真实用户路径做端到端验证。